El caso que sacude al Parlamento Europeo
Investigadores de la unidad de derechos digitales de la Universidad de Toronto, conocida como The Citizen Lab, confirmaron que el teléfono móvil del periodista y exparlamentario griego Stelios Kouloglou fue vulnerado mediante el software espía Pegasus. Lo sorprendente es que la vulneración ocurrió mientras Kouloglou formaba parte del comité PEGA, encargado de indagar los abusos de este mismo spyware por parte de gobiernos europeos.
Perfil del objetivo y su implicación en la investigación
Kouloglou, reconocido por sus trabajos periodísticos y su paso por el Parlamento Europeo, había sido designado como miembro del comité que debía elaborar un informe exhaustivo sobre el uso indebido de Pegasus en varios países de la UE. Su tarea consistía en recopilar testimonios, analizar evidencias y proponer medidas regulatorias. Sin embargo, durante 2022 y 2023, su dispositivo móvil fue infiltrado sin su consentimiento, una acción que él describió como “imprudente” y que, según un colega parlamentario, constituye un “ataque directo al estado de derecho”.
Cómo se ejecutó el ataque y qué vulnerabilidad explotó
Según el informe de Citizen Lab, el primer acceso no autorizado tuvo lugar en octubre de 2022 y se repitió al menos dos veces en marzo de 2023. Los investigadores señalaron que se utilizó un exploit «zero‑click», es decir, que el spyware se instaló sin que Kouloglou tuviera que abrir ningún enlace ni interactuar con el mensaje. El vector de ataque se basó en una falla previamente detectada en el software de hogar inteligente de Apple, presente en iPhones, la cual ya había sido parcheada pero cuyo arreglo no se había aplicado al dispositivo de la víctima.
El malware permitió al perpetrador extraer mensajes de texto, correos electrónicos, datos de ubicación, fotografías y, potencialmente, capturar audio ambiental. La segunda oleada de hackeo coincidió con el traslado del parlamentario de Atenas a Bruselas, justo cuando el comité PEGA mantenía audiencias clave antes de presentar su borrador final.
Reacciones institucionales y demanda de regulación
El hallazgo ha reavivado el debate sobre el uso desmedido de herramientas de vigilancia por parte de estados. Un legislador europeo describió el suceso como una violación flagrante de los principios democráticos y solicitó a la Comisión Europea la adopción de normas estrictas que limiten la comercialización y el empleo de Pegasus y similares. Hasta la fecha, ni la Comisión ni la empresa israelí NSO Group, propietaria del spyware, han ofrecido comentarios oficiales.
Citizen Lab no pudo identificar al gobierno responsable, pero observó que la dirección de correo utilizada para lanzar el ataque ya había sido empleada en campañas anteriores contra periodistas de varios países europeos, lo que sugiere la existencia de una autorización oficial para operar Pegasus en la región.
Este caso subraya la vulnerabilidad de los defensores de los derechos digitales y plantea preguntas inquietantes sobre la capacidad de los estados para repeler a sus propios investigadores cuando sus actividades amenazan intereses de seguridad nacional.
